Quelles étapes pour sécuriser un serveur web sur Debian ?

[DarkAngel36]

Salut à tous les hackademiciens J'ai pour projet de monter un serveur web et de créer un site. Je me demandais quelles sont les étapes pour sécuriser ce serveur étant donné que je ne l'ai jamais fait. J'ai commencé à étudier la question et pour moi il faut :
- monter un pare-feu iptables (j'ai été voir les tutos sur ce forum =D )
- utiliser fail2ban

Quelqu'un pourrait-il me dire quelles sont les autres choses à faire ? Merci d'avance

[Yarflam]

Salut !

Il faut :
-Sécuriser les transactions utilisateurs <-> serveur, si ton site possède des comptes d'authentifications.
\-> Impliquant le hash des mots de passes et une connexion sécurisée SSL
\-> Créer des cookies de connexions comprenant l'IP du PC et l'heure en hash
-Un régulateur de connexion, pour éviter un buffer overflow ou un DDOS. Je suppose que sur internet, il existe des solutions.
-Un script de récupération d'IP - le PHP peut faire l'affaire. Ça te permettra de créer des statistiques et de surveiller les connexions entrantes - tu peux pousser le vice plus loin : renseigner les pages visités, les touches appuyés etc ...
-Un par-feu c'est obligatoire bien sur !

Avec ça t'es sécurisé. Après il faut penser à faire des sauvegardes régulièrement.
Si les éléments vulnérables (comptes) sont protégés par la cryptographie, c'est bon !

NB: les attaques avec des RAT je ne connais pas du tout. Peut être qu'un autre membre pourra mieux te renseigner. Le côté TCP/IP me manque =D

[DarkAngel36]

Merci Yarflam, Pour la première version de mon site je n'aurais pas de compte utilisateurs (la deuxième version en aura^^) donc je vais me pencher sur la question Pour le régulateur de connection je pense savoir le faire, par contre le script de récupération d'IP je n'ai aucune idée de comment faire (aucune connaissance en PHP, je commence à étudier le HTML-CSS depuis quelques jours^^).
En tout cas merci, je sais ce qu'il me reste à faire =D

[mactux]

Au delà des attaques ciblés sur ton serveur, il s'agit aussi de sécuriser ton espace web, dans le cas d'un CMS par exemple (Wordpress, Joomla et autre).

[Yarflam]

Au delà des attaques ciblés sur ton serveur, il s'agit aussi de sécuriser ton espace web, dans le cas d'un CMS par exemple (Wordpress, Joomla et autre).

Oui, tu as tout à fait raison !

le script de récupération d'IP je n'ai aucune idée de comment faire

Le plus facile est de récupérer l'IP et de l'enregistrer dans un fichier texte.

<?php
$IP = $_SERVER["REMOTE_ADDR"];
$fp = fopen("ip_list.txt", "a+");
fputs($fp, $IP.chr(13).chr(10));
fclose($fp);
?>

[_47]

J'ai un petit bouquin securing-debian-howto.fr.pdf

[DarkAngel36]

Oki merci à tous =D pour le script iptables, j'autorise DNS, NTP, FTP, SSH, HTTP,HTTPS, localhost, et c'est tout ? (je veux le minimum pour bien sécuriser)

[WarGames]

Oki merci à tous =D pour le script iptables, j'autorise DNS, NTP, FTP, SSH, HTTP,HTTPS, localhost, et c'est tout ? (je veux le minimum pour bien sécuriser)

Tu peux aussi mettre en place un petit script qui mail en cas de fail sur l'auth SSH ou en cas de problèmes matériel (cpu/memory/hdd)
C'est toujours un petit plus
Sinon tu as Logwatch qui émet des rapports grâce au logs et te mail

Bonne chance !

[DarkAngel36]

Merci ^^ Le truc pour le mail je voulais le faire, mais il faut installer un truc genre postfix non ?

[WarGames]

Merci ^^ Le truc pour le mail je voulais le faire, mais il faut installer un truc genre postfix non ?

http://stackoverflow.com/questions/5...x-shell-script

[DarkAngel36]

merci WarGames

[SpiritWhite]

Vais pas refaire un sujet pour ma question vu que c'est directement lié au sujet
Pour améliorer la sécurité ne faut-il pas modifié la configuration de Apache, j'ai crus comprendre que la config était adapté au développement mais pas à la Production

[DarkAngel36]

J'ai modifié le fichier /etc/apache2/apache2.conf pour éviter que l'url ip/404 ne donne des informations sur le serveur apache et l'OS de ton serveur. Il faut rajouter les deux lignes suivantes :
ServerSignature Off
ServerTokens Prod

Apres il y a surement d'autres modifications à apporter mais je ne sais pas lesquelles.

[SpiritWhite]

Ok merci c'est déjà une piste à explorer ^^' après c'est aussi pas mal d'enlever l'affichage des message d'erreur ça serait bête que le mot de passe de la base de donnée soit affiché ^^' et envoyé les erreur dans un erreur.log

[DarkAngel36]

Avec un Php je pense que c faisable, Yarflam pourra surement t'en dire plus que moi ^^